専用インスタンスのネットワーク要件

物理セキュリティ

Equinix Meet-Me Room のロケーションと Cisco 専用インスタンス データ センター施設に物理セキュリティを提供することが重要です。 物理セキュリティが侵害されると、顧客のスイッチの電源をシャットダウンすることでサービスを中断させるなどの単純な攻撃を開始することができます。 攻撃者は物理的なアクセスを使用して、サーバー デバイスにアクセスしたり、パスワードをリセットしたり、スイッチへのアクセスを取得したりする可能性があります。 また、物理的なアクセスにより、中間者攻撃などの高度な攻撃が促進されます。だからこそ 2 番目のセキュリティ層であるネットワーク セキュリティが重要です。

セルフ暗号化ドライブは、UC アプリケーションをホストする専用インスタンス データ センターで使用されます。

一般的なセキュリティ対策について詳しくは、次の場所にあるドキュメントを参照してください。 https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

ネットワーク セキュリティ

パートナーは、すべてのネットワーク要素が (Equinix 経由で接続する) 専用インスタンス インフラストラクチャで保護されていることを確認する必要があります。 パートナーは、次のようなセキュリティのベスト プラクティスを確実に実行する責任を負います。

• 音声とデータ向けの別々の VLAN

• ポートごとに許可される MAC アドレスの数を制限して CAM テーブル フラッディングを阻止するため、ポート セキュリティを有効にする

• スプーフィングされた IP アドレスに対する IP ソースのガード

• ダイナミック ARP インスペクション (DAI) は (GARP スプーフィングに対して) アドレス解決プロトコル (ARP) と Gratuitous ARP (GARP) 違反について検証する

• 802.1x 割り当てられた VLAN (電話は 802 をサポートする) 上のデバイスを認証するために、ネットワークアクセスを制限します1x。

• 音声パケットの適切なマーキングを目的とした Quality of Service (QoS) の設定

• 他のトラフィックをブロックするファイアウォール ポートの設定

エンドポイント セキュリティ

Cisco エンドポイントは、署名済みのファームウェア、セキュア ブート (選択モデル)、製造元がインストールした証明書 (MIC)、署名済みの構成ファイルなどのデフォルトのセキュリティ機能をサポートし、エンドポイントに特定のレベルのセキュリティを提供します。

また、パートナーや顧客は、次のような追加のセキュリティを有効にできます。

• エクステンション モビリティなどのサービス向けに IP 電話サービスを暗号化する (HTTPS 経由)

• Certificate Authority Proxy Function (CAPF) またはパブリック認証局 (CA) からローカルで有効な証明書 (Locally Significant Certificates、LSC) を発行する

• 構成ファイルを暗号化する

• メディアとシグナリングを暗号化する

• 使用しない場合、これらの設定を無効にします: PC ポート、PC 音声 VLAN アクセス、Gratuitous ARP (GARP)、設定ボタン、SSH、コンソール

専用インスタンスにセキュリティ メカニズムを実装することで、電話と Unified CM サーバーの ID の盗難、データの改ざん、通話シグナリングまたはメディア ストリームの改ざんを防止します。

ネットワーク上の専用インスタンス:

• 認証済みの通信ストリームを確立、維持する

• ファイルを電話に転送する前にデジタル署名を行う

• Cisco Unified IP Phone 間のメディア ストリームと通話シグナリングを暗号化する

セキュアな UC アプリケーション

Cisco Unified CM と CUBE 間の通信のセキュリティ保護

Cisco Unified CM と CUBE 間の通信を安全に行う場合、パートナーまたは顧客は、自己署名証明書あるいは CA 署名証明書のどちらかを使用する必要があります。

自己署名証明書の場合:

1. CUBE および Cisco Unified CM が自己署名証明書を作成する

2. CUBE は証明書を Cisco Unified CM にエクスポートする

3. Cisco Unified CM は証明書を CUBE にエクスポートする

CA 署名入りの証明書の場合:

1. クライアントがキーペアを作成し、Certificate Signing Request (CSR) を認証局 (CA) に送信する

2. CA はプライベート キーを使用して署名し、ID 証明書を作成する

3. クライアントは信頼できる CA ルートおよびメディア証明書と ID 証明書のリストをインストールする

プロトコルの概要

以下の表は、Unified CM ソリューションで使用されるプロトコルと関連サービスを示します。

MRA 統合について詳しくは、次を参照してください。 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

SIP OAuth で Jabber および Webex を保護する

Jabber および Webex クライアントは、ローカルで有効な証明書 (LSC) ではなく Oauth トークンを使って認証されます。この認証は Certificate Authority Proxy Function (CAPF) の有効化 (MRA 用も含む) を必要としません。 混合モードを使用する、または使用しない SIP Oauth が、Cisco Unified CM 12.5(1)、Jabber 12.5、Expressway X12.5 に導入されました。

Cisco Unified CM 12.5 では、SIP REGISTER の単一の Transport Layer Security (TLS) + OAuth トークンを使用して LSC/CAPF なしの暗号化を有効にする、電話セキュリティ プロファイルの新しいオプションが加わります。 Expressway-C ノードは Administrative XML Web Service (AXL) API を使用して、証明書の SN/SAN について Cisco Unified CM に通知します。 Cisco Unified CM は相互 TLS 接続を確立する際に、この情報を使用して Expressway-C 証明書を検証します。

SIP OAuth は、エンドポイント証明書 (LSC) なしで、メディアとシグナリングの暗号化を有効にします。

Cisco Jabber は、TFTP サーバーへの HTTPS 接続経由でエフェメラル ポートとセキュア ポート 6971 および 6972 を使用し、構成ファイルをダウンロードします。 ポート 6970 は、HTTP 経由のダウンロード用の非セキュアなポートです。

SIP Oauth 構成に関する詳細: SIP Oauth モード。